Hai appena convalidato il tuo carrello, inserisci i tuoi dati bancari e un ulteriore schermo ti chiede un codice ricevuto via SMS. Questo passaggio è il protocollo 3D Secure. Protegge contro le frodi, ma rallenta anche il percorso di acquisto. Alcuni siti online funzionano senza questa verifica e capire perché (e come) cambia il modo in cui percepiamo la sicurezza dei pagamenti su internet.
Esenzioni DSP2: perché un pagamento senza 3D Secure può rimanere legale
La normativa europea DSP2 impone l’autenticazione forte per i pagamenti online con carta di credito. Molti consumatori pensano che l’assenza di 3D Secure significhi automaticamente una mancanza di sicurezza. È più sfumato di così.
La DSP2 prevede in realtà diverse esenzioni di autenticazione forte perfettamente conformi. Un pagamento può passare senza schermo 3D Secure rispettando la legge, a patto di soddisfare alcuni criteri specifici.
Tra i casi previsti dalla normativa, ci sono in particolare i siti senza 3D Secure da conoscere che sfruttano queste esenzioni per rendere più fluida l’esperienza di acquisto senza violare la direttiva europea.
- Le transazioni a basso importo (intorno ai 30 euro), soggette a limiti cumulativi e a un conteggio del numero di transazioni successive senza autenticazione.
- I beneficiari fidati, che il titolare della carta ha precedentemente aggiunto a una lista bianca presso la propria banca.
- Le transazioni ricorrenti, come un abbonamento mensile identico, dove solo la prima operazione richiede un’autenticazione forte.
- L’analisi del rischio in tempo reale (Transaction Risk Analysis), utilizzata dai fornitori di pagamento il cui tasso di frode trimestrale rimane al di sotto di una soglia definita dal regolamento delegato (UE) 2018/389.
Per il consumatore, ciò significa che un sito senza schermo 3D Secure non è necessariamente sospetto. Può semplicemente beneficiare di un’esenzione concessa dal proprio fornitore di pagamento.
Tasso di frode carta di credito online e reale ruolo del 3D Secure
Hai già notato che le frodi con carta di credito fanno regolarmente notizia? I numeri recenti mostrano però una tendenza opposta a quella che si potrebbe pensare.
Secondo l’Osservatorio della sicurezza dei mezzi di pagamento, la frode sui pagamenti con carta ha raggiunto un livello storicamente basso, con un tasso intorno allo 0,05% del valore trattato. Tra il 2024 e il 2025, il calo si aggira intorno al 10%, attribuito direttamente al dispiegamento dell’autenticazione forte 3D Secure 2 imposta dalla DSP2.
Questo protocollo ha quindi dimostrato la sua efficacia su larga scala. I siti che scelgono di non utilizzarlo si assumono un rischio misurabile, anche se le esenzioni consentono di farlo legalmente.
Chi supporta il rischio in caso di frode senza 3D Secure
Quando un commerciante accetta un pagamento senza autenticazione forte e si verifica una frode, la responsabilità finanziaria ricade sul commerciante, non sulla banca del cliente. È il meccanismo detto di “liability shift” previsto dai circuiti Visa e Mastercard.
In pratica, il consumatore rimane protetto: la sua banca deve rimborsarlo in caso di operazione non autorizzata. Il commerciante, invece, perde la merce e l’importo della transazione. È per questo che la maggior parte dei negozi online attiva il 3D Secure, anche quando un’esenzione sarebbe possibile.
Siti di pagamento online senza verifica 3D Secure: casi concreti
Alcune piattaforme ben note aggirano il 3D Secure in modo trasparente. Il loro punto in comune: utilizzano i propri sistemi di sicurezza in aggiunta o in sostituzione del protocollo bancario classico.
PayPal e portafogli elettronici
PayPal non attiva il 3D Secure al momento del pagamento su un sito commerciale. L’autenticazione avviene in anticipo, durante il login al conto PayPal stesso (password, doppia autenticazione tramite l’app). Il commerciante non vede mai i dati della carta di credito, il che riduce il rischio di fuga di dati.
Il principio è lo stesso per altri portafogli elettronici. L’acquirente si identifica una volta sulla soluzione di pagamento, poi convalida i suoi acquisti senza dover passare nuovamente per uno schermo bancario a ogni transazione.
Carte corporate e transazioni B2B
Le carte aziendali (corporate) beneficiano di un’esenzione specifica nella DSP2. Gli acquisti effettuati con una carta identificata come professionale possono passare senza autenticazione forte. Questa esenzione mira a semplificare i flussi di approvvigionamento delle aziende, dove i volumi di transazioni sono elevati e gli importi spesso ricorrenti.
Abbonamenti e pagamenti ricorrenti
I servizi in abbonamento (streaming, software, stampa online) attivano il 3D Secure solo al primo pagamento. I successivi ad importo identico passano automaticamente. Solo la prima transazione richiede un’autenticazione forte, le successive sono classificate come ricorrenti.
Precauzioni concrete per pagare online senza 3D Secure
L’assenza di 3D Secure non significa assenza di protezione, a patto di prendere alcune misure semplici.
- Verificare che il sito utilizzi il protocollo HTTPS (lucchetto nella barra degli indirizzi) prima di inserire informazioni bancarie.
- Preferire le carte virtuali a uso unico offerte dalla maggior parte delle banche online, che limitano l’esposizione dei dati reali della carta.
- Attivare le notifiche di transazione in tempo reale sull’app bancaria per individuare immediatamente eventuali operazioni sospette.
- Aggiungere i siti fidati alla lista dei beneficiari autorizzati presso la propria banca, il che consente di usufruire dell’esenzione “beneficiario fidato” senza rinunciare al controllo.
Questi riflessi compensano l’assenza dello strato 3D Secure e mantengono un livello di sicurezza soddisfacente per gli acquisti quotidiani su internet.
La tendenza di fondo rimane chiara: l’autenticazione forte ha fatto scendere la frode con carta di credito al suo livello più basso in Francia. Le esenzioni al 3D Secure esistono per motivi pratici, non per indebolire la sicurezza. Conoscere questi meccanismi permette di fare acquisti online con maggiore serenità, comprendendo cosa accade realmente tra il clic su “paga” e la convalida della transazione.
